바이낸스는 왜 개인키가 유출되지 않았는데 63억 달러를 도난당했나

가상자산 거래소에서 가장 중요한 보안 자산은 무엇일까.

많은 사람은 지갑의 개인키(Private Key)를 떠올린다. 개인키를 확보하면 자산을 이동시킬 수 있기 때문에 거래소는 이를 외부에 노출되지 않도록 보호한다.

그런데 개인키가 유출되지 않았더라도 거래소에서 수십억 달러가 빠져나갈 수 있다면 어떻게 될까.

세계 최대 규모의 가상자산 거래소 바이낸스(Binance)에서 발생한 보안사고가 바로 이 질문을 던졌다.

바이낸스는 2026년 10월 30일 공식 발표를 통해 약 63억 달러 규모의 가상자산이 탈취됐다고 밝혔다.

한화로 환산하면 환율에 따라 약 9조 원 안팎에 이르는 규모다.

초기 조사에서는 개발·운영 업무를 담당하는 데브옵스(DevOps) 엔지니어의 노트북이 침해됐을 가능성이 제기됐다.

공격자가 해당 노트북을 발판으로 내부 서비스 컨테이너에 접근하고, 승인되지 않은 출금 거래를 제출했다는 설명이다.

그러나 바이낸스는 지갑 개인키가 외부로 유출됐다는 증거는 발견하지 못했다고 밝혔다.

이 부분이 중요하다.

기존의 가상자산 해킹은 개인키 탈취나 스마트컨트랙트 취약점 악용에 주목해 왔다.

이번 사건에서는 거래소가 정상적으로 작동시키는 출금 처리 시스템 자체가 공격의 통로로 이용됐을 가능성이 제기됐다.

바이낸스는 사고 직후 출금을 일시 중단하고 관련 권한을 폐기했다. 블록체인 분석업체와 자산 발행사, 수사기관 등과 협력해 탈취 자산을 추적했다.

그 결과 약 30억 달러 규모의 자산이 온체인에서 동결됐다고 밝혔다.

10월 31일에는 고객 자산을 보전하기 위해 피해 규모의 약 90%에 해당하는 자산을 보충했다고 발표했다.

미국 연방수사국(FBI)도 같은 날 이번 사건을 북한 연계 사이버공격 조직 TraderTraitor의 소행으로 지목했다.

이번 사고는 가상자산 업계의 보안 문제를 다시 드러냈다.

디지털 자산을 안전하게 보관하는 것과 그 자산을 이동시키는 업무 시스템을 안전하게 운영하는 것은 서로 다른 문제라는 점이다.

10월 29일, 바이낸스의 핫월렛에서 무슨 일이 발생했나

바이낸스의 추가 발표에 따르면 사고가 발생한 시점은 2026년 10월 29일 오후 8시 5분경(UTC)이다.

한국시간으로는 10월 30일 오전 5시 5분경이다.

바이낸스는 이 시점부터 자사의 핫월렛이 침해돼 약 63억 달러 상당의 가상자산이 탈취됐다고 설명했다.

핫월렛(Hot Wallet)은 인터넷과 연결돼 입출금 등 일상적인 거래를 처리하는 지갑이다.

거래소가 이용자의 출금 요청에 신속하게 대응하려면 일정 규모의 자산을 핫월렛에 보유해야 한다.

반대로 인터넷과 분리해 보관하는 방식은 일반적으로 콜드월렛(Cold Wallet)이라고 부른다.

핫월렛은 이용 편의성이 높은 대신 여러 온라인 시스템과 연결돼 있다는 특성이 있다.

이번 사건은 이 연결 구조의 위험을 드러냈다.

바이낸스는 초기 공지에서 개발자 노트북이 침해되면서 내부 서비스 컨테이너에 접근할 수 있었고, 이를 통해 승인되지 않은 출금 거래가 발생한 것으로 추정했다.

서비스 컨테이너는 애플리케이션을 실행하는 독립적인 소프트웨어 환경이다.

거래소에서는 인증과 출금 요청 처리, 거래 검증, 외부 서비스 연결 등 여러 기능이 분리된 서비스로 실행될 수 있다.

이 가운데 출금 처리 시스템에 대한 권한이 침해되면 공격자는 정상적인 운영 절차를 악용할 가능성이 있다.

다만 바이낸스는 이후 조사에서 추가적인 침해 지점도 발견했다고 밝혔다.

따라서 이번 사건을 노트북 한 대의 침해만으로 모든 과정이 설명되는 단순한 사고로 보기는 어렵다.

공격자가 어떻게 권한을 확대했고, 어떤 검증 절차를 우회했는지는 향후 기술 보고서를 통해 확인해야 한다.

개인키가 유출되지 않았는데 출금은 어떻게 가능했나

이번 사건에서 가장 중요한 기술적 질문이다.

가상자산 거래에는 일반적으로 개인키를 이용한 전자서명이 필요하다.

따라서 개인키가 유출되지 않았다면 자산을 이동시킬 수 없는 것 아니냐는 의문이 생길 수 있다.

하지만 거래소의 실제 운영 구조는 개인키 하나로 설명되지 않는다.

대형 거래소는 이용자의 출금 요청을 접수하고 검증한 뒤, 내부 시스템을 통해 거래 생성과 서명을 수행한다.

개인키는 별도의 보안 시스템에서 보호할 수 있다.

이 경우 출금 서비스를 운영하는 애플리케이션이 직접 개인키를 보유하지 않더라도, 정해진 절차에 따라 서명 요청을 제출할 수 있다.

따라서 공격자가 개인키 자체를 탈취하지 않아도 출금 승인 절차를 악용할 가능성이 있다.

예를 들어 출금 서비스가 잘못된 요청을 정상적인 거래로 판단하도록 만들거나, 승인된 주소와 거래 요청을 관리하는 권한을 확보할 수 있다면 문제가 발생할 수 있다.

이것은 개인키를 훔쳐 직접 거래를 서명하는 공격과 다르다.

정상적인 출금 처리 시스템이 잘못된 거래를 실행하도록 만드는 공격이다.

바이낸스는 이번 사고에서 개인키 유출의 증거가 발견되지 않았다고 설명했다.

또한 초기 공지에서 영향을 받은 주소의 승인 권한을 폐기했다고 밝혔다.

이러한 발표는 지갑 보관 기능과 출금 업무 시스템 사이의 권한 경계가 중요한 조사 대상임을 보여준다.

다만 현재 공개된 정보만으로 공격자가 정확히 어떤 출금 승인 절차를 우회했는지 단정할 수는 없다.

서비스 컨테이너에 접근했다는 사실만으로 특정 서명 구조나 보안장치가 어떻게 무력화됐는지를 확정할 수 없기 때문이다.

확인되는 사실은 무단 출금 거래가 발생했고, 바이낸스가 개인키 유출의 증거는 확인하지 못했다고 밝혔다는 점이다.

개발자의 노트북은 왜 거래소 전체의 위험이 될 수 있나

데브옵스는 소프트웨어 개발과 실제 서비스 운영을 연결하는 업무 영역이다.

대규모 온라인 서비스에서 데브옵스 엔지니어는 시스템 배포와 운영, 장애 대응, 인프라 설정, 자동화 파이프라인 등을 관리한다.

이러한 업무를 수행하려면 여러 시스템에 접근할 수 있는 권한이 필요하다.

클라우드 서비스와 컨테이너 관리 도구, 개발 저장소, 배포 시스템, 모니터링 도구 등이 대표적이다.

문제는 개발자의 작업용 컴퓨터가 이러한 시스템과 연결된 접점이라는 사실이다.

공격자가 개발자의 노트북을 침해하면 그 안에 저장된 인증정보나 활성 세션, 개발도구 설정 등을 악용할 가능성이 있다.

그러나 노트북 침해가 곧바로 모든 운영 시스템의 장악으로 이어지는 것은 아니다.

실제 피해 범위는 접근 권한이 어떻게 분리돼 있는지, 추가 인증이 필요한지, 운영 시스템에서 어떤 명령을 허용하는지에 따라 달라진다.

바이낸스의 사례에서 중요한 것도 이 지점이다.

개인 개발자 장비에 대한 침해가 내부 출금 처리 시스템에 영향을 줄 수 있었다면, 개발 환경과 운영 환경 사이의 권한 분리가 충분했는지 검토해야 한다.

또한 출금 처리 서비스가 어떤 조건에서 거래를 승인했는지 확인할 필요가 있다.

이는 특정 직원 개인의 책임 문제로 환원할 사안이 아니다.

바이낸스 공동 CEO 리처드 텅(Richard Teng)도 이번 사건이 한 엔지니어의 권한을 단순히 사용한 공격이나 한 번의 클릭으로 발생한 사고가 아니라, 더 복잡한 공격 과정이었다고 설명했다.

바이낸스는 조사 과정에서 추가 침해 지점을 발견했으며 특정 개인에게 책임을 돌리지 않았다고 밝혔다.

결국 중요한 것은 조직의 시스템이 하나의 침해를 어디까지 허용했는가다.

직원의 단말기가 침해되더라도 중요한 업무 시스템으로 피해가 확대되지 않도록 하는 것이 기업 보안의 핵심이다.

북한의 TraderTraitor는 어떻게 지목됐나

10월 31일 미국 FBI는 이번 바이낸스 사건과 관련해 공식 경보를 발표했다.

FBI는 북한이 10월 29일 전후 바이낸스에서 60억 달러 이상의 가상자산을 탈취한 사건에 책임이 있다고 밝혔다.

해당 활동을 TraderTraitor로 분류했다.

TraderTraitor는 북한과 연계된 사이버공격 활동을 지칭하는 명칭이다.

FBI는 미국 비밀경호국(USSS), 국세청 범죄수사국(IRS-CI) 등과 함께 탈취 자산의 이동을 추적하고 있다고 설명했다.

특히 공격자가 탈취한 자산을 주로 이더리움(ETH)으로 전환하는 움직임을 관찰했다고 밝혔다.

이후 탈중앙화금융(DeFi) 서비스와 즉시 교환 서비스를 통해 추가적인 자금세탁이 진행될 가능성도 경고했다.

FBI는 관련 거래를 처리할 수 있는 가상자산 서비스 제공자들에게 의심 자금의 이동을 차단하도록 협조를 요청했다.

이는 바이낸스의 최초 공지 이후 새롭게 확인된 중요한 사실이다.

다만 공격자의 신원에 관한 FBI의 공식 귀속 판단과 개별 범죄자의 형사책임이 법원에서 확정되는 것은 별개의 문제다.

공격에 참여한 구체적인 인물과 조직의 내부 구성, 자금 이동 경로는 추가 수사를 통해 확인될 사안이다.

또한 바이낸스는 자체적으로 완전한 공격 경로에 관한 기술 조사를 마무리하지 못한 상태다.

따라서 FBI의 공격 주체 판단과 바이낸스의 기술적 사고 원인 분석은 구분해 볼 필요가 있다.

63억 달러 가운데 약 30억 달러는 왜 동결할 수 있었나

가상자산은 한번 전송하면 되돌리기 어렵다는 특징이 있다.

비트코인이나 이더리움과 같은 블록체인에서는 유효하게 승인된 거래가 기록되면 특정 거래소가 임의로 이를 취소하기 어렵다.

그런데 바이낸스는 탈취된 자산 가운데 약 30억 달러를 온체인에서 동결했다고 밝혔다.

어떻게 가능했을까.

핵심은 가상자산의 종류마다 통제 구조가 다르다는 데 있다.

비트코인처럼 발행사가 개별 주소의 자산을 임의로 동결할 수 없는 구조도 있다.

반면 일부 중앙화 스테이블코인은 발행사가 스마트컨트랙트의 관리 권한을 통해 특정 주소의 토큰 이전을 제한할 수 있다.

대표적인 사례가 USDT와 USDC다.

발행사는 법적 요구나 보안사고 등에 대응해 특정 주소의 자산을 동결할 수 있는 기능을 운영한다.

바이낸스는 이번 사고 이후 블록체인 분석업체와 자산 발행사, 업계 파트너들과 협력해 영향을 받은 주소를 추적했다.

그 결과 약 30억 달러 규모의 자산이 동결됐다고 발표했다.

가상자산 분석업체 Elliptic도 자체 온체인 분석에서 약 28억 4,000만 달러의 동결 자산을 확인했다고 밝혔다.

두 수치가 완전히 일치하지 않는 이유는 분석 시점과 범위, 확인 기준이 다를 수 있기 때문이다.

중요한 것은 동결된 자산을 곧바로 바이낸스가 회수한 자산으로 계산해서는 안 된다는 점이다.

동결은 특정 자산을 더 이상 이동하지 못하도록 제한하는 조치다.

자산의 법적 반환과 실제 회수까지 완료됐다는 의미는 아니다.

따라서 약 30억 달러가 동결됐다는 사실과 바이낸스가 피해 자산을 다시 확보했다는 사실은 구분해야 한다.

이는 사고의 최종 손실 규모를 계산할 때도 중요하다.

해커는 왜 스테이블코인을 이더리움으로 바꾸려 하나

이번 사건에서 공격자가 탈취 자산의 일부를 이더리움 등으로 전환한 움직임은 중요한 의미를 갖는다.

중앙화 스테이블코인은 발행사가 동결할 수 있는 통제 기능을 갖고 있다.

반면 이더리움의 네이티브 자산인 ETH는 특정 발행사가 개별 주소의 자산을 동결하는 방식으로 통제할 수 없다.

따라서 공격자가 동결 가능한 스테이블코인을 다른 가상자산으로 전환하면 자산 이동을 막기 어려워질 수 있다.

Elliptic은 이번 사고에서 공격자가 동결 가능한 자산을 ETH 등으로 전환하는 움직임을 확인했다고 밝혔다.

FBI 역시 탈취 자산의 이더리움 전환을 관찰했다고 설명했다.

이러한 활동은 자금세탁 과정의 일부일 수 있다.

탈취한 자산을 여러 블록체인과 토큰으로 분산하고, 탈중앙화금융 서비스 등을 거치면서 추적과 동결을 어렵게 만드는 것이다.

다만 가상자산을 다른 토큰으로 전환했다는 사실만으로 자금의 추적이 불가능해지는 것은 아니다.

블록체인 거래기록은 공개적으로 남기 때문에 분석업체와 수사기관은 자금 이동을 계속 추적할 수 있다.

실제로 이번 사고에서도 여러 분석기관이 거래 흐름을 추적해 탈취 자산과 연결된 지갑들을 식별했다.

그러나 추적할 수 있다는 것과 자산을 강제로 회수할 수 있다는 것은 다르다.

블록체인상 주소를 식별하더라도 해당 주소의 자산을 이동시키려면 기술적·법적 통제 수단이 필요하다.

이번 사건은 가상자산 종류에 따라 사고 대응 능력이 크게 달라질 수 있음을 보여준다.

바이낸스는 63억 달러의 손실을 어떻게 메우려 하나

바이낸스가 10월 30일 발표한 대응 방안 가운데 가장 중요한 내용은 고객에게 손실을 전가하지 않겠다는 약속이다.

회사는 사용자 자산 보호기금인 SAFU(Secure Asset Fund for Users)와 자체 기업 자금을 활용해 모든 손실을 보전하겠다고 밝혔다.

이후 추가 공지에서는 피해 자산 보충에 선물보험기금의 일부도 활용한다고 설명했다.

10월 30일 바이낸스는 63억 달러의 피해에 대응하기 위해 63억 4,000만 달러 이상의 자금을 마련했다고 발표했다.

당시 약 50억 달러를 실제로 탈취된 것과 같은 종류의 토큰으로 확보했으며, 피해 규모의 약 80%를 보충한 상태라고 밝혔다.

10월 31일에는 보충 비율이 90%까지 높아졌다고 발표했다.

비트코인과 이더리움, USDT, BNB, SOL, USDC 등 주요 10개 자산에 대해서는 100%의 준비자산을 확보했다고 설명했다.

나머지 약 10%는 상대적으로 유동성이 낮은 토큰으로, 필요한 수량을 매입하는 데 시간이 더 걸릴 수 있다고 밝혔다.

여기서 주의할 점은 보충 비율이 90%라는 발표가 탈취 자산 자체를 90% 회수했다는 의미는 아니라는 사실이다.

바이낸스가 자체 자금을 사용해 고객 자산의 부족분을 다시 채웠다는 뜻이다.

회수와 보충은 다른 개념이다.

탈취 자산을 회수하면 공격자가 가져간 자산을 되찾는 것이다.

반면 보충은 회사가 보유한 다른 자금을 활용해 고객에게 지급해야 할 자산을 다시 확보하는 것이다.

바이낸스는 후자를 통해 고객 손실을 막겠다는 입장이다.

이 전략이 최종적으로 성공하는지는 실제 자산 보충 완료와 출금 서비스 정상화, 준비금 검증 결과 등을 통해 확인해야 한다.

자산이 충분하다는데 출금은 왜 중단됐나

바이낸스는 사고 직후 보안 점검을 위해 입출금을 일시 중단한다고 발표했다.

그러나 10월 30일 수정 공지에서는 입금은 정상적으로 작동하고 있으며, 출금만 일시 중단된 상태라고 정정했다.

이 차이는 중요하다.

입금과 출금은 거래소의 서로 다른 운영 절차를 사용하기 때문이다.

이용자가 자산을 입금하는 기능이 정상적으로 작동하더라도, 자산을 외부로 보내는 출금 시스템에 위험이 있다면 출금을 중단할 수 있다.

바이낸스는 피해 확산을 막기 위해 관련 인프라를 격리하고 영향을 받은 권한을 폐기했다고 밝혔다.

또한 출금 서비스와 연결된 시스템을 점검하고 추가적인 보안장치를 적용하고 있다고 설명했다.

10월 31일 기준 회사는 11월 1일 출금 서비스를 단계적으로 재개한다는 목표를 유지했다.

다만 당시 공개된 자료만으로 모든 이용자의 출금이 정상적으로 재개됐다고 확인할 수는 없다.

출금 재개 일정은 보안 점검과 시스템 검증 결과에 따라 달라질 수 있다.

여기서 드러나는 문제는 가상자산 거래소의 유동성과 시스템 가용성이 서로 다르다는 점이다.

거래소가 고객에게 지급할 충분한 자산을 보유하고 있더라도, 출금 시스템이 안전하게 작동하지 않으면 이용자는 자산을 외부로 이동시킬 수 없다.

반대로 출금 시스템이 정상적으로 작동한다고 해도 실제 지급 능력을 입증하지 못한다면 다른 문제가 발생한다.

따라서 거래소의 신뢰를 평가하려면 지급 능력과 시스템 보안을 함께 살펴봐야 한다.

준비금 증명은 이번 사고에서 무엇을 보여줄 수 있나

바이낸스는 피해 자산을 보충한 뒤 업데이트된 준비금 증명(Proof of Reserves·PoR)을 공개하겠다고 밝혔다.

10월 31일에는 새로운 준비금 스냅샷을 촬영했다고 발표했다.

해당 스냅샷의 기준 시점은 10월 31일 0시(UTC)다.

바이낸스는 영지식증명 방식의 전체 검증 자료를 생성하는 데 약 40~50시간이 소요되며, 11월 3일경 이용자가 주요 자산의 1대1 보유 여부를 검증할 수 있을 것으로 예상했다.

준비금 증명은 거래소가 실제로 어느 정도의 가상자산을 보유하고 있는지 확인하기 위한 장치다.

이용자가 거래소에 맡긴 자산에 대응하는 준비금이 존재하는지 검증하는 데 도움을 줄 수 있다.

그러나 준비금 증명이 모든 문제를 해결하는 것은 아니다.

특정 시점에 자산이 존재했다는 사실과 그 자산을 안전하게 보관하고 있다는 사실은 다르다.

또한 모든 부채와 우발적인 지급 의무까지 포함한 전체 재무 건전성을 단일 준비금 자료만으로 확인하기는 어렵다.

이번 사고에서는 특히 두 가지가 중요하다.

첫째, 탈취로 인해 부족해진 자산이 실제로 보충됐는가.

둘째, 보충된 자산을 다시 탈취당하지 않도록 출금 승인과 운영 시스템이 개선됐는가.

준비금 증명은 첫 번째 질문을 검증하는 중요한 자료가 될 수 있다.

하지만 두 번째 질문에는 별도의 보안 감사와 기술적 사고 분석이 필요하다.

바이낸스가 완전한 사후 분석 보고서를 공개하겠다고 밝힌 이유도 여기에 있다.

이번 사건은 기존 거래소 해킹과 무엇이 다른가

가상자산 거래소의 대규모 해킹은 이번이 처음이 아니다.

2025년에는 Bybit에서 약 15억 달러 규모의 가상자산 탈취 사건이 발생했다.

해당 사건 역시 정상적인 자산 관리 및 서명 절차를 공격자가 악용했다는 점에서 업계에 큰 충격을 줬다.

이번 바이낸스 사고는 공개된 추정 피해액 기준으로 그보다 훨씬 크다.

블록체인 분석업체 Elliptic은 약 64억 3,000만 달러의 가상자산 탈취를 확인했다고 밝혔다.

이는 바이낸스가 발표한 약 63억 달러와 차이가 있지만, 둘 다 수십억 달러대의 대규모 피해라는 점은 같다.

최종 피해 규모는 추가 조사와 자산 가격, 집계 기준에 따라 달라질 수 있다.

이번 사건의 더 중요한 차이는 공격 경로에 관한 초기 설명이다.

바이낸스는 현재까지 개인키 유출의 증거를 발견하지 못했다고 밝혔다.

대신 개발자 노트북과 내부 서비스 컨테이너, 무단 출금 거래가 연결되는 경로가 조사 대상이 됐다.

만약 이 경로가 최종 분석에서도 확인된다면, 거래소 보안은 개인키 보관을 넘어 출금 요청의 생성과 승인, 실행 과정까지 더욱 엄격하게 보호해야 한다는 교훈이 강화될 것이다.

물론 이러한 원칙 자체가 새로운 것은 아니다.

그러나 이번 사고는 기존에 알려진 운영 보안의 중요성을 매우 큰 피해 규모로 다시 보여줬다.

거래소의 보안은 어디에서 시작하고 끝나는가

가상자산 거래소는 금융기관이면서 동시에 대규모 소프트웨어 플랫폼이다.

이용자의 자산을 보관하고 거래를 처리하는 동시에 수많은 서버와 컨테이너, 데이터베이스, 인증 시스템, 개발 파이프라인을 운영한다.

그만큼 보안의 범위도 넓다.

지갑 개인키를 안전하게 보관하는 것만으로는 충분하지 않다.

출금 요청이 어떤 경로로 전달되는지, 승인 권한을 누가 갖는지, 시스템 변경은 어떻게 검증되는지, 개발자가 운영 환경에 어느 범위까지 접근할 수 있는지 관리해야 한다.

특히 고액의 자산 이동에는 여러 단계의 독립적인 검증이 필요하다.

하나의 운영 계정이나 서비스가 침해되더라도 전체 출금 시스템을 임의로 조작할 수 없도록 설계해야 한다.

개발 환경과 운영 환경의 권한도 구분해야 한다.

개발자가 업무를 수행하기 위해 모든 운영 권한을 상시 보유해야 하는 것은 아니다.

필요한 작업과 시간에 한정해 권한을 부여하고, 중요한 설정이나 출금 정책을 변경할 때는 별도의 승인을 요구할 수 있다.

또한 정상적인 거래 흐름과 다른 대규모 출금이 발생하면 이를 탐지하고 중단할 수 있는 장치가 필요하다.

다만 이번 사건에서 바이낸스의 구체적인 어떤 통제장치가 실패했는지는 아직 공개되지 않았다.

따라서 특정 보안 기술이 부재했다거나 내부 승인 절차가 전혀 없었다고 단정할 수는 없다.

향후 기술 보고서를 통해 실제 취약 지점과 개선 조치를 확인해야 한다.

30억 달러 동결이 보여준 블록체인의 또 다른 현실

이번 사건에는 역설적인 부분도 있다.

블록체인은 중앙기관을 거치지 않고 자산을 이동할 수 있다는 특성으로 발전했다.

하지만 이번 대규모 도난 사고에서는 중앙화된 자산 발행사와 거래소, 수사기관, 블록체인 분석업체의 협력이 자산 동결에 중요한 역할을 했다.

특히 USDT와 USDC 같은 중앙화 스테이블코인은 발행사의 통제 기능을 통해 일부 자산 이동을 제한할 수 있었다.

이는 가상자산의 탈중앙화 정도가 자산마다 다르다는 사실을 보여준다.

비트코인과 이더리움의 네이티브 자산, 중앙화 스테이블코인은 모두 블록체인에서 거래되지만 운영과 통제 구조는 같지 않다.

이 차이는 평상시에는 이용자가 크게 의식하지 않을 수 있다.

그러나 보안사고가 발생하면 중요한 의미를 갖는다.

자산을 동결할 수 있는 구조는 피해 확산을 막는 데 도움이 될 수 있다.

반대로 이러한 통제 기능은 발행사와 규제기관의 권한이 어디까지 미칠 수 있는지에 관한 별도의 논쟁도 만든다.

이번 사고는 가상자산 산업이 기술적으로 분산된 네트워크를 기반으로 하면서도, 대규모 사고 대응에서는 여러 중앙화된 주체의 협력이 중요하게 작동한다는 현실을 보여준다.

세계 최대 거래소에서 발생한 사고의 의미

바이낸스는 이번 사고가 고객의 최종 손실로 이어지지 않도록 자체 자금으로 부족분을 보충하겠다고 밝혔다.

이는 대규모 거래소의 재무적 대응 능력을 보여주는 사례가 될 수 있다.

그러나 고객 손실을 보전한다는 사실과 보안사고의 책임이 사라진다는 것은 다르다.

기업이 자산을 보충하더라도 출금 중단으로 인한 이용자 불편과 시장 신뢰의 훼손은 별개의 문제다.

이번 사건은 특히 중앙화 거래소에 자산을 맡기는 구조에 관한 질문을 다시 제기한다.

이용자는 거래소를 통해 편리하게 가상자산을 거래하고 보관할 수 있다.

하지만 실제 출금 권한과 자산 보관의 상당 부분을 거래소의 시스템에 의존한다.

그 시스템에 사고가 발생하면 이용자는 자신의 계정에 잔액이 표시되더라도 외부 지갑으로 자산을 이동하지 못할 수 있다.

이는 거래소가 충분한 자산을 보유하고 있더라도 발생할 수 있는 운영 위험이다.

따라서 거래소의 신뢰성은 보유 자산 규모뿐 아니라 보안과 운영의 연속성, 사고 대응 능력, 투명한 정보 공개를 함께 평가해야 한다.

특히 사고 이후 공개되는 기술 보고서는 중요한 검증 자료가 될 것이다.

침해가 발생한 최초 경로와 공격자의 권한 확대 과정, 무단 출금이 승인된 이유, 탐지와 대응이 지연된 원인 등을 설명해야 하기 때문이다.

이러한 사실관계가 확인돼야 업계 전체가 유사한 사고를 예방할 수 있다.

63억 달러의 도난이 남긴 질문

바이낸스의 이번 사고는 세 가지 사실을 동시에 보여준다.

첫째, 대규모 가상자산 탈취는 지갑 개인키 유출 없이도 발생할 가능성이 있다.

둘째, 공격자가 확보한 권한이 거래소 내부의 핵심 업무 시스템으로 연결되면 피해 규모가 급격히 커질 수 있다.

셋째, 사고가 발생한 이후 자산을 동결하고 고객 손실을 보전하는 능력만큼이나, 애초에 무단 출금이 실행되지 않도록 차단하는 구조가 중요하다.

바이낸스는 약 63억 달러 상당의 자산이 탈취됐다고 발표했다.

이 가운데 약 30억 달러는 온체인에서 동결됐다고 밝혔다.

회사는 피해 자산의 약 90%를 자체 재원으로 보충했고, 나머지 자산도 확보하겠다고 약속했다.

FBI는 북한 연계 공격조직 TraderTraitor를 지목했다.

그러나 침투 경로에 대한 완전한 기술적 설명과 피해 자산의 최종 회수 규모는 아직 확인되지 않았다.

또한 11월 1일로 예정된 출금 재개가 실제로 정상화됐는지도 별도로 확인할 필요가 있다.

이번 사건에서 가장 중요한 교훈은 특정 개인의 노트북이 침해됐다는 사실만이 아니다.

그 침해가 자산 출금이라는 핵심 업무로 연결될 가능성이 있었다는 점이다.

가상자산 거래소의 보안은 지갑을 보호하는 데서 끝나지 않는다.

개발자의 장비부터 운영 시스템, 출금 승인, 거래 서명, 위험 탐지, 사고 복구까지 하나의 보안 체계로 연결돼야 한다.

개인키를 안전하게 보관하는 것은 필수적이다.

그러나 그 개인키가 보호된 상태에서도 잘못된 출금 요청이 정상적으로 처리된다면 자산은 여전히 위험할 수 있다.

이번 바이낸스 사건이 던지는 질문은 누가 개인키를 훔쳤느냐가 아니다. 개인키를 훔치지 않고도 누가 거래소의 자산을 움직이도록 만들 수 있었느냐는 것이다.

그 답이 밝혀질 때 이번 사고의 진정한 기술적 원인도 드러날 것이다.

그리고 가상자산 업계는 단순한 지갑 보안을 넘어, 자산을 움직이는 전체 시스템의 신뢰성을 다시 검증해야 할 것이다.